Délibération n° 2022-142 du 19 octobre 2022 de la Commission de Contrôle des Informations Nominatives portant avis favorable à la mise en œuvre du traitement automatisé d'informations nominatives ayant pour finalité « Gestion de la messagerie électronique professionnelle » présenté par la Caisse de Compensation des Services Sociaux.

No. Journal 8617
Date of publication 18/11/2022
Quality 100%
Page no.

Vu la Constitution ;

Vu la Convention de Sauvegarde des Droits de l’Homme et des Libertés Fondamentales du Conseil de l’Europe du 4 novembre 1950 ;

Vu la Convention n° 108 du Conseil de l’Europe du 28 janvier 1981 pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel et son Protocole additionnel ;

Vu la loi n° 1.165 du 23 décembre 1993 relative à la protection des informations nominatives, modifiée ;

Vu l’Ordonnance-loi n° 397 du 27 septembre 1944 portant création d’une Caisse de Compensation des Services Sociaux de la Principauté de Monaco ;

Vu l’Ordonnance Souveraine n° 2.230 du 19 juin 2009 fixant les modalités d’application de la loi n° 1.165 du 23 décembre 1993, modifiée, susvisée ;

Vu l’arrêté ministériel n° 2010-638 du 23 décembre 2010 portant application de l’article 7 de la loi n° 1.165 du 23 décembre 1993, modifiée, susvisée ;

Vu la délibération n° 2011-82 du 21 octobre 2011 de la Commission de Contrôle des Informations Nominatives portant recommandation sur les principes européens applicables aux traitements automatisés ou non automatisés d’informations nominatives ;

Vu la demande d’avis déposée par la Caisse de Compensation des Services Sociaux le 10 août 2022 concernant la mise en œuvre d’un traitement automatisé d’informations nominatives ayant pour finalité « Gestion de la messagerie électronique professionnelle » ;

Vu la prorogation du délai d’examen de ladite demande d’avis notifiée au responsable de traitement le 7 octobre 2022, conformément à l’article 19 de l’Ordonnance Souveraine n° 2.230 du 19 juin 2009, modifiée, susvisée ;

Vu le rapport de la Commission de Contrôle des Informations Nominatives en date du 19 octobre 2022 portant examen du traitement automatisé, susvisé ;

La Commission de Contrôle des Informations Nominatives,

Préambule

La Caisse de Compensation des Services Sociaux (CCSS) est un organisme de droit privé investi d’une mission d’intérêt général au sens de l’arrêté ministériel n° 2010-638 du 23 décembre 2010 portant application de l’article 7 de la loi n° 1.165 du 23 décembre 1993 relative à la protection des informations nominatives, modifiée.

Dans le cadre de l’exercice de leurs fonctions, les salariés de cet organisme disposent d’une messagerie professionnelle faisant l’objet d’une supervision.

Ainsi, le traitement d’informations nominatives objet de la présente délibération est soumis à l’avis de la Commission conformément à l’article 7 de la loi n° 1.165 du 23 décembre 1993.

I. Sur la finalité et les fonctionnalités du traitement

Ce traitement a pour finalité « Gestion de la messagerie électronique professionnelle ».

Les personnes concernées sont les salariés, les prestataires disposant d’un poste de travail CSM et toute personne extérieure.

Enfin, les fonctionnalités sont les suivantes :

- échange de messages électroniques en interne ou avec l’extérieur ;

- utilisation de carnets d’adresse génériques et d’adresses mails institutionnelles ;

- historisation des messages électroniques entrants et sortants ;

- archivage possible des messages ;

- gestion des contacts de la messagerie électronique ;

- gestion de l’agenda (calendrier), des disponibilités et de réservation de salles ;

- établissement et lecture de fichiers journaux ;

- gestion des habilitations d’accès à la messagerie ;

- gestion des comptes de messagerie ;

- contrôle du bon fonctionnement et de la qualité de l’application ainsi que de sa sécurité ;

- établissement de preuves en cas de litige avec un tiers ou un salarié.

La Commission constate ainsi que la finalité du traitement est déterminée et explicite, conformément aux dispositions de l’article 10-1 de la loi n° 1.165 du 23 décembre 1993.

II. Sur la licéité et la justification du traitement

Le responsable de traitement indique que le traitement dont s’agit est justifié par « la réalisation d’un intérêt légitime poursuivi [par lui et qui] ne méconnait ni l’intérêt, ni les droits et libertés fondamentaux de la personne concernée ».

La Commission constate ainsi que le traitement permet « d’échanger entre agents des Caisses Sociales de Monaco et d’être informés des différentes circulaires », et « d’échanger avec les assurés ou toute autre personne extérieure nécessitant un renseignement sur les services sociaux rendus par l’Organisme ».

Elle relève que « les différentes fonctionnalités de la messagerie permettent aux salariés d’organiser leur activité professionnelle » et que « Ce traitement permet également une protection contre tout acte susceptible d’engager la responsabilité des Caisses Sociales puisque les emails peuvent constituer une preuve en cas de litige ».

Enfin, la Commission note à la lecture de la charte informatique qu’un usage privé raisonnable de ce service, « dans le cadre des nécessités de la vie courante et familiale, est toléré ».

À cet égard, elle rappelle que l’employeur ne peut accéder aux contenus des messages privés de ses employés envoyés ou reçus à partir de la messagerie professionnelle, sans que ledit employé soit présent et avec son accord. Toutefois, pour que les messages soient considérés comme personnels, il convient pour les employés de les identifier comme tels.

Sous réserve de la prise en compte de ce qui précède, la Commission considère que le traitement est licite et justifié, conformément aux dispositions des articles 10-1 et 10-2 de la loi n° 1.165 du 23 décembre 1993.

III. Sur les informations nominatives traitées

Le responsable de traitement indique que les informations nominatives traitées sont :

- identité : nom, prénom, identifiant ;

- messages : contenu de la messagerie et des messages, objet, dossiers de classement/archivage, pièces jointes ;

- quarantaine : nombre de messages libérés, volume des messages, format des messages, format des pièces jointes (vidéos, fichiers compressés avec mots de passe) ;

- gestion des contacts : nom, prénom, raison sociale (si applicable) ;

- données d’identification électronique : adresse de messagerie électronique, compte Active Directory ;

- informations temporelles/fichiers journaux (métadonnées) : date et heure de chaque message, objet, expéditeur, destinataires, adresse IP des serveurs émetteur et récepteur.

Les informations relatives à l’identité ont pour origine le traitement ayant pour finalité « Gestion des Ressources Humaines ».

Toutes les autres informations ont pour origine le système de messagerie.

La Commission considère ainsi que les informations collectées sont « adéquates, pertinentes et non excessives » au regard de la finalité du traitement, conformément aux dispositions de l’article 10-1 de la loi n° 1.165 du 23 décembre 1993.

IV. Sur les droits des personnes concernées

Sur l’information préalable des personnes concernées

L’information préalable des personnes concernées est effectuée par le biais d’une rubrique propre à la protection des données accessible en ligne et par une mention ou clause particulière intégrée dans un document remis à l’intéressé.

L’ensemble de ces documents n’ayant pas été joint à la demande, la Commission rappelle que ceux-ci doivent impérativement comporter l’ensemble des mentions prévues à l’article 14 de la loi n° 1.165 du 23 décembre 1993.

Elle recommande par ailleurs l’insertion d’une mention d’information au bas de tout message électronique sortant, afin d’informer les tiers destinataires de la finalité du traitement, ainsi que de leurs droits.

Sur l’exercice du droit d’accès, de modification et de mise à jour

Le responsable de traitement indique que le droit d’accès s’exerce par voie postale, par courrier électronique ou sur place.

À cet égard, la Commission rappelle que la réponse à ce droit d’accès doit s’exercer dans le mois suivant la réception de la demande.

Par ailleurs, s’agissant de l’exercice du droit d’accès par voie électronique, elle considère qu’une procédure devra être mise en place afin que le responsable de traitement puisse s’assurer que l’expéditeur du courriel est effectivement la personne concernée par les informations. À ce titre, la Commission précise que si une copie d’un document d’identité était demandée, la transmission et le traitement de ce document devront faire l’objet de mesures de protection particulières comme rappelé dans sa délibération n° 2015-113 du 18 novembre 2015 portant recommandation sur la collecte et la conservation de la copie de documents d’identité officiels.

Sous réserve de la prise en compte de ce qui précède, elle constate que les modalités d’exercice des droits des personnes concernées sont conformes aux dispositions des articles 13, 15 et 16 de la loi n° 1.165 du 23 décembre 1993.

V. Sur les personnes ayant accès au traitement

Les personnes habilitées à avoir accès au traitement sont :

- les utilisateurs de la messagerie et les délégataires habilités par les utilisateurs eux-mêmes : inscription, modification et consultation ;

- les agents autorisés par l’utilisateur (par exemple en cas de congés) : consultation uniquement ;

- l’équipe de sécurité informatique : tous droits ;

- le service de support informatique : maintenance.

Considérant les attributions de chacune de ces personnes, et eu égard à la finalité du traitement, les accès susvisés sont justifiés.

VI. Sur les interconnexions et rapprochements

Le responsable de traitement indique que le présent traitement fait l’objet de quatre interconnexions/rapprochements avec les traitements ayant respectivement pour finalité « Téléservice de dépose document », « Gestion des Ressources Humaines », « Gestion du personnel et production de statistiques sur l’utilisation de la messagerie et d’internet » et « Gestion des accès au système d’information opéré par les Caisses Sociales de Monaco ».

La Commission prend acte que ces traitements ont été légalement mis en œuvre.

VII. Sur la sécurité du traitement et des informations

Les mesures prises pour assurer la sécurité et la confidentialité du traitement et des informations qu’il contient appellent plusieurs observations.

La Commission rappelle néanmoins que les ports non utilisés doivent être désactivés et les serveurs, périphériques, équipements de raccordements (switchs, routeurs, pare-feux) ainsi que chaque compte utilisateur et administrateur doivent être protégés individuellement par un identifiant et par un mot de passe réputé fort, régulièrement renouvelé.

Elle rappelle également que la copie ou l’extraction d’informations issues de ce traitement doit être chiffrée sur son support de réception.

Enfin, la Commission rappelle que, conformément à l’article 17 de la loi n° 1.165 du 23 décembre 1993, les mesures techniques et organisationnelles mises en place afin d’assurer la sécurité et la confidentialité du traitement au regard des risques présentés par celui-ci et de la nature des données à protéger devront être maintenues et mises à jour en tenant compte de l’état de l’art, afin de permettre de conserver le haut niveau de fiabilité attendu tout au long de la période d’exploitation du présent traitement.

VIII. Sur les durées de conservation

Le responsable de traitement indique que les informations relatives à l’identité et à la gestion des contacts ainsi que les données d’identification électronique sont conservées jusqu’au départ de l’utilisateur.

Les données mises en quarantaine sont supprimées au bout de 30 jours.

Les fichiers journaux et les logs d’accès sont conservés 1 an.

Le responsable de traitement indique par ailleurs que les messages sont conservés 30 jours une fois détruits par l’utilisateur.

À cet égard, la Commission prend acte qu’une politique d’archivage est mise en place à l’initiative de l’utilisateur.

Elle considère ainsi que ces durées sont conformes aux exigences légales.

Après en avoir délibéré, la Commission :

Considère qu’une procédure relative au droit d’accès par voie électronique devra être mise en place afin que le responsable de traitement puisse s’assurer que l’expéditeur du courriel est effectivement la personne concernée par les informations.

Rappelle que :

- l’employeur ne peut accéder aux contenus des messages privés de ses employés envoyés ou reçus à partir de la messagerie professionnelle, sans que ledit employé soit présent et en soit d’accord ;

- les documents d’information doivent impérativement comporter l’ensemble des mentions prévues à l’article 14 de la loi n° 1.165 du 23 décembre 1993 ;

- la réponse au droit d’accès doit s’exercer dans le mois suivant la réception de la demande ;

- les ports non utilisés doivent être désactivés et les serveurs, périphériques, équipements de raccordements (switchs, routeurs, pare-feux) ainsi que chaque compte utilisateur et administrateur doivent être protégés individuellement par un identifiant et par un mot de passe réputé fort, régulièrement renouvelé ;

- la copie ou l’extraction d’informations issues de ce traitement doit être chiffrée sur son support de réception.

Recommande l’insertion d’une mention d’information au bas de tout message électronique sortant, afin d’informer les tiers destinataires de la finalité du traitement, ainsi que de leurs droits.

Sous le bénéfice de la prise en compte de ce qui précède,

la Commission de Contrôle des Informations Nominatives émet un avis favorable à la mise en œuvre par la Caisse de Compensation des Services Sociaux du traitement automatisé d’informations nominatives ayant pour finalité « Gestion de la messagerie électronique professionnelle ».